Categoria
Uma função hash criptográfica é um algoritmo matemático que transforma dados de entrada de qualquer tamanho em uma saída de tamanho fixo, chamada de digest ou hash value. A operação é unidirecional: é computacionalmente inviável reverter o hash para obter os dados originais. É também determinística: a mesma entrada sempre produz a mesma saída.
Desenvolvedores frequentemente enxergam segurança como uma etapa posterior ao desenvolvimento, mas a realidade é que vulnerabilidades descobertas em produção custam de 10 a 100 vezes mais para corrigir do que aquelas encontradas durante a codificação. Dominar ferramentas de pentest permite que você identifique falhas antes que elas cheguem aos ambientes de staging ou produção.
Existe uma crença perigosa entre desenvolvedores: "logs são só para uso interno, ninguém de fora vai ver". Essa falsa sensação de segurança já causou alguns dos vazamentos de dados mais emblemáticos da história recente. Em 2022, a Twilio expôs tokens de autenticação de milhares de usuários do Authy devido a logs mal configurados. Em 2023, um engenheiro do GitHub commitou acidentalmente credenciais em logs de debug que foram indexados por mecanismos de busca públicos.
Dependency pinning é a prática de fixar versões exatas de todas as dependências de um projeto, impedindo que atualizações automáticas ocorram sem controle explícito. Em vez de permitir ranges flexíveis como >=1.0.0,<2.0.0, você trava a versão específica: requests==2.31.0.
Serialização é o processo de converter objetos ou estruturas de dados em um formato que pode ser armazenado ou transmitido (como uma string ou bytes). Deserialização é o processo inverso: reconstruir o objeto original a partir desse formato serializado.
A criptografia assimétrica representa uma evolução fundamental em relação à criptografia simétrica. Enquanto a criptografia simétrica utiliza uma única chave secreta compartilhada entre as partes para cifrar e decifrar dados, a criptografia assimétrica emprega um par de chaves matematicamente relacionadas: uma chave pública, que pode ser distribuída livremente, e uma chave privada, que deve ser mantida em segredo absoluto.
Dados em repouso referem-se a qualquer informação armazenada persistentemente em dispositivos físicos ou virtuais: bancos de dados, discos rígidos, backups em nuvem, sistemas de arquivos e mídias removíveis. A criptografia de dados em repouso é a prática de transformar esses dados em formato ilegível para qualquer pessoa ou sistema que não possua a chave de descriptografia adequada.
AES (Advanced Encryption Standard) é o algoritmo de criptografia simétrica mais utilizado no mundo. "Simétrica" significa que a mesma chave é usada tanto para cifrar quanto para decifrar os dados. Isso difere da criptografia assimétrica (como RSA), onde existem chaves pública e privada distintas.
Cross-Site Request Forgery (CSRF) é uma vulnerabilidade de segurança que força um usuário autenticado a executar ações indesejadas em uma aplicação web. O ataque explora a confiança que o servidor deposita no navegador da vítima, utilizando cookies ou credenciais armazenadas para realizar requisições legítimas sem o consentimento do usuário.
Cross-Site Scripting (XSS) é uma vulnerabilidade de segurança que permite a injeção de scripts maliciosos em páginas web consideradas confiáveis. Quando um atacante consegue inserir código JavaScript arbitrário em uma aplicação, esse script é executado no navegador da vítima com o mesmo nível de privilégio da aplicação legítima.